Apache 2.4.49 http server release with vulnerabilities fixed

ເຊີບເວີ Apache HTTP 2.4.49 ໄດ້ຖືກເປີດເຜີຍ, ແນະນໍາ 27 ການປ່ຽນແປງແລະລົບລ້າງ 5 ຊ່ອງໂຫວ່:

• CVE-2021-33193 - mod_http2 ມີຄວາມອ່ອນໄຫວຕໍ່ກັບການປ່ຽນແປງໃຫມ່ຂອງການໂຈມຕີ "HTTP Request Smuggling", ເຊິ່ງອະນຸຍາດໃຫ້ໂດຍການສົ່ງຄໍາຮ້ອງຂໍລູກຄ້າທີ່ຖືກອອກແບບພິເສດ, ເຂົ້າໄປໃນເນື້ອໃນຂອງການຮ້ອງຂໍຈາກຜູ້ໃຊ້ອື່ນໆທີ່ສົ່ງຜ່ານ mod_proxy (ຕົວຢ່າງ: ທ່ານສາມາດບັນລຸການໃສ່ລະຫັດ JavaScript ທີ່ເປັນອັນຕະລາຍເຂົ້າໄປໃນກອງປະຊຸມຂອງຜູ້ໃຊ້ອື່ນຂອງເວັບໄຊທ໌).
• CVE-2021-40438 ແມ່ນຊ່ອງໂຫວ່ SSRF (Server Side Request Forgery) ໃນ mod_proxy, ເຊິ່ງເຮັດໃຫ້ການຮ້ອງຂໍຖືກໂອນໄປຫາເຊີບເວີທີ່ຖືກເລືອກໂດຍຜູ້ໂຈມຕີໂດຍການສົ່ງຄໍາຮ້ອງຂໍ uri-path ທີ່ສ້າງຂຶ້ນໂດຍສະເພາະ.
• CVE-2021-39275 - Buffer overflow ໃນຟັງຊັນ ap_escape_quotes. ຊ່ອງໂຫວ່ຖືກໝາຍວ່າເປັນ benign ເພາະວ່າໂມດູນມາດຕະຖານທັງໝົດບໍ່ຜ່ານຂໍ້ມູນພາຍນອກໄປຫາຟັງຊັນນີ້. ແຕ່ມັນເປັນໄປໄດ້ທາງທິດສະດີວ່າມີໂມດູນພາກສ່ວນທີສາມໂດຍຜ່ານການໂຈມຕີສາມາດດໍາເນີນການໄດ້.
• CVE-2021-36160 - ການອ່ານນອກຂອບເຂດໃນໂມດູນ mod_proxy_uwsgi ທີ່ເຮັດໃຫ້ເກີດອຸປະຕິເຫດ.
• CVE-2021-34798 - ການອ້າງອິງຕົວຊີ້ NULL ເຮັດໃຫ້ເກີດຄວາມຜິດພາດຂອງຂະບວນການໃນເວລາທີ່ປະມວນຜົນຄໍາຮ້ອງຂໍທີ່ສ້າງຂຶ້ນໂດຍສະເພາະ.

ການປ່ຽນແປງທີ່ບໍ່ແມ່ນຄວາມປອດໄພທີ່ໂດດເດັ່ນທີ່ສຸດ:

• ຂ້ອນຂ້າງຫຼາຍຂອງການປ່ຽນແປງພາຍໃນໃນ mod_ssl. ການຕັ້ງຄ່າ “ssl_engine_set”, “ssl_engine_disable” ແລະ “ssl_proxy_enable” ໄດ້ຖືກຍ້າຍຈາກ mod_ssl ໄປສູ່ການຕື່ມຂໍ້ມູນຫຼັກ (ຫຼັກ). ມັນເປັນໄປໄດ້ທີ່ຈະໃຊ້ໂມດູນ SSL ທາງເລືອກເພື່ອປົກປ້ອງການເຊື່ອມຕໍ່ຜ່ານ mod_proxy. ເພີ່ມຄວາມສາມາດໃນການບັນທຶກລະຫັດສ່ວນຕົວ, ເຊິ່ງສາມາດຖືກນໍາໃຊ້ໃນ wireshark ເພື່ອວິເຄາະການຈະລາຈອນທີ່ຖືກເຂົ້າລະຫັດ.
• ໃນ mod_proxy, parsing ຂອງ unix socket paths ຜ່ານເຂົ້າໄປໃນ "proxy:" URL ໄດ້ຖືກເລັ່ງ.
• ຄວາມສາມາດຂອງໂມດູນ mod_md, ນໍາໃຊ້ເພື່ອອັດຕະໂນມັດການຮັບແລະການຮັກສາໃບຢັ້ງຢືນໂດຍໃຊ້ໂປໂຕຄອນ ACME (Automatic Certificate Management Environment), ໄດ້ຮັບການຂະຫຍາຍ. ມັນໄດ້ຖືກອະນຸຍາດໃຫ້ອ້ອມຮອບໂດເມນດ້ວຍວົງຢືມໃນ ແລະສະຫນອງການສະຫນັບສະຫນູນ tls-alpn-01 ສໍາລັບຊື່ໂດເມນທີ່ບໍ່ກ່ຽວຂ້ອງກັບເຈົ້າພາບ virtual.
• ເພີ່ມພາລາມິເຕີ StrictHostCheck, ເຊິ່ງຫ້າມການລະບຸຊື່ໂຮດທີ່ບໍ່ໄດ້ຕັ້ງຄ່າລະຫວ່າງການໂຕ້ຖຽງລາຍຊື່ "ອະນຸຍາດ".

ແຫຼ່ງຂໍ້ມູນ: opennet.ru